域服务器的配置和应用（一）

                 域服务器的配置与应用

很早前收藏的一个东西送给新手学习，来源于网络 部署Active Directory目录服务 Active Directory存储了网络对象大量的相关信息，网络用户和应用程序可根据不同的授权使用在Active Directory中发布的有关用户、计算机、文件和打印机等信息。Active Directory支持LDAP v2和LDAP v3，能够与其他供应商的目录服务互操作。Active Directory实际上是一种用于组织、管理和定位网络资源的企业级工具。对于Windows网络来说，规模越大，需要管理的资源越多，建立Active Directory目录服务也就越有必要。 Active Directory基础 1．Active Directory的功能 Active Directory提供了一种组织方式并简化了计算机网络系统中资源的访问。作为一种增强性目录服务，它具有下列功能。 l     数据存储，也称为目录，它存储着与Active Directory对象有关的信息。这些对象包括共享资源，如服务器、文件、打印机、网络用户和计算机账户。 l     包含目录中每个对象信息的全局编录。允许用户和管理员查找目录信息，而与目录中实际包含数据的域无关。 l     查询和索引机制的建立，可以使网络用户或应用程序发布并查找这些对象及其属性。 l     通过网络分发目录数据的复制服务。对目录数据所做的任何更改都被复制到域中的所有域控制器。 l     与网络安全登录过程的安全子系统的集成，以及对目录数据查询和数据修改的访问控制。 l     提供安全策略的存储和应用范围，支持组策略来实现网络用户和计算机的集中配置和管理。 2．Active Directory对象 与其他目录服务器一样，Active Directory以对象为基本单位，采用层次结构来组织管理对象。这些对象包括网络中的各项资源，如用户、计算机、打印机和应用程序等。AD对象以层次结构组织，可分为两种类型。一类是容器对象，即可以包含下层对象的对象；另一类是非容器对象，即不能包含下层对象的对象。每个对象均有一组属性，用来记录该对象的特性。对象与属性的关系相当于数据库中的记录和字段之间的关系。每个对象都可通过多种不同的名称引用。Active Directory根据对象创建或修改时提供的信息，为每个对象创建RDN和规范名称。例如，在abc.com域、unit1组织单位中名为mycomputer的计算机的DN是“CN=mycomputer, OU=unit1, DC=abc, DC=com”。如果采用规范名称（DN的另一种表示方法），则表示为“abc.com/unit/1mycomputer”。除此之外，用户账户还具有一个称为UPN（用户主体名称）的名称。UPN是一个友好的名称，比DN短并且容易记忆。UPN包括一个用户登录名称和该用户所属域的DNS名称，如[email protected]，该名称不依赖于DN。 3．Active Directory架构 Active Directory中的每个对象都是在架构中定义的类的实例。AD架构包含目录中所有对象的定义。架构的英文名称为Schema，也可译为模式，实际上就是对象类。在LDAP目录服务中，Schema一般以文本方式来存储，在Active Directory中却将其作为一种特殊的对象。架构对象由对象类和属性组成，是用来定义对象的对象。 4．Active Directory结构 AD目录服务建立在域的基础上，由域控制器对网络中的资源实行集中管理和控制，目录信息存储在域控制器上的Active Directory数据库中。Active Directory以域为基础，具有伸缩性，包含一个或多个域，每个域具有一个或多个域控制器，可调整目录的规模以满足任何网络的需要。多个域可合并为域树，多个域树可合并为林。Active Directory是一个典型的树状结构，按自上而下的顺序，依次为林→树→域→组织单位。而在实际应用中，通常是按自下而上的方法来设计Active Directory结构的。 l     域：Active Directory的基本单位和核心单元，是Active Directory的分区单位，Active Directory中必须至少有一个域。共享同一个AD数据库的计算机组成一个域。一个典型的域包括域控制器、成员服务器和工作站等类型的计算机。 l     组织单位：将域再进一步划分成多个组织单位（简称OU）以便于管理。组织单位是可将用户、组、计算机和其他组织单位放入其中的Active Directory容器。每个域的组织单位层次都是独立的，组织单位不能包括来自其他域的对象。组织单位相当于域的子域，本身也具有层次结构。 l     域树：可将多个域组合成为一个域树。 l     林：一个或多个域树的集合。 5．Active Directory站点 Active Directory站点可以看作是一个或多个IP子网中的一组计算机定义。同一站点中的计算机需要很好地连接，尤其是子网内的计算机。如果站点包括多个子网，由于相同原因那些子网也必须具有良好的网络连接。站点与域不同，站点反映网络的物理结构，而域通常反映整个单位的逻辑结构。逻辑结构和物理结构相互独立，可能相互交叉。Active Directory允许单个站点中有多个域，单个域中有多个站点。Active Directory站点的主要作用是使Active Directory适应复杂的网络连接环境，一般只有在有多种网络连接的网络环境（如广域网）中才规划站点。 6．Active Directory目录复制 复制目录提供了信息可用性、容错、负载平衡和性能优势。通过复制，AD目录服务在多个域控制器上保留目录数据的副本，从而确保所有用户的目录可用性和性能。Active Directory使用一种多主机复制模型，允许在任何域控制器上（而不只是委派的主域控制器上）更改目录。 7．Active Directory与DNS集成 Active Directory与DNS集成并且共享相同的名称空间结构，两者的集成体现在以下3个方面。 l     Active Directory和DNS有相同的层次结构。 l     DNS区域可存储在Active Directory中。 l     Active Directory将DNS作为定位服务使用。要登录到Active Directory域，Active Directory客户端应向配置的DNS服务器查询在指定域的域控制器上运行的LDAP服务的IP地址。DNS用于将AD域、站点和服务名称解析成IP地址。 DNS是一种名称解析服务，为DNS客户端提供DNS名称解析，不需要Active Directory也能运行。Active Directory是一种目录服务，提供信息储存库并让用户和应用程序访问信息的服务。为了定位域控制器，Active Directory客户端需查询DNS，Active Directory需要DNS才能工作。 8．Active Directory管理工具 Active Directory管理工具简化了目录服务的管理。可使用标准工具或使用Microsoft管理控制台（MMC）来创建专门执行单项管理任务的自定义工具。在Windows Server 2003域控制器上可直接使用的管理工具有3种： l     Active Directory 用户和计算机； l     Active Directory 域和信任； l     Active Directory 站点和服务。 安装Active Directory 部署Active Directory目录服务的关键是安装和配置域控制器，前提是做好Active Directory的规划。 1．规划Active Directory 主要是规划DNS名称空间和域结构，必要时还要规划组织单位或AD站点。 选择域结构的总的原则是应尽可能减少域的数量，微软建议企业网应尽可能使用单一域结构，以简化管理工作。组织单位的规划很重要，在域内可依据多种标准划分组织单位。如果各个分支机构或部门有大量的对象，或者分支机构或部门相对分散独立，或者企业网络分成几个独立部分，就可以考虑创建多个域。对于多域的情况，又有两种选择：域树或林。一般来说，分支机构或部门使用相同的顶层DNS名称空间，层次结构清晰，可创建域树来包含多个域；如果使用不同的顶层DNS名称空间，可创建林来包括多个域树和域。 Active Directory需要先规划名称空间。Active Directory域使用DNS名称来命名。选择DNS名称用于Active Directory域时通常使用现有域名，以企业保留在Internet上使用的已注册DNS域名后缀开始，并将该名称和企业中使用的地理名称或部门名称结合起来，组成Active Directory域的全名。企业可将内部名称空间与外部名称空间保持一样。微软公司建议将两者分离，对DNS域名进行分组，如内部DNS名称使用诸如“internal.abc.com”的名称，外部DNS名称使用诸如“external.abc.com”的名称。 适当建立站点可以优化复制效率并减少网络的管理开销。站点的数量取决于网络的物理设计和网络连接带宽。多数情况下只需一个AD站点，如一个包含单个子网的局域网，或者以高速主干线连接的多个子网。如果网络分布在多个地理位置并通过广域网连接，应当为每个地理位置建立单独的站点。 2．安装域控制器 域中的服务器要么充当域控制器，要么充当成员服务器。使用Active Directory安装向导，可以在独立服务器上安装域控制器，或者将成员服务器升级至域控制器，也可以将域控制器降级为成员服务器。Windows Server 2003或Windows 2000 Server服务器在Active Directory环境中可分为域控制器、成员服务器和独立服务器3种角色。 使用Active Directory安装向导可安装和配置域控制器。在使用Active Directory安装向导之前，应考虑DNS配置。默认情况下，该安装向导从其已配置的DNS服务器列表中定位新域的权威DNS服务器，该列表将接受服务（SRV）资源记录的动态更新。如果找到可接受动态更新的DNS服务器，则在重新启动域控制器时，所有域控制器的相应记录都自动在DNS服务器上注册。 如果网络上没有DNS服务器，可在安装Active Directory时选择自动安装和配置本地DNS服务器。DNS 服务器将安装在运行Active Directory安装向导的服务器上，该服务器的首选DNS服务器设置将自动配置为使用新的本地DNS服务器。 使用“配置您的服务器向导”工具，根据提示将服务器角色选定为“域控制器（Active Directory）”，可启动Active Directory安装向导，根据提示进行安装操作即可。也可通过运行dcpromo命令直接启动Active Directory安装向导。具体步骤不再赘述。 3．将计算机添加到域 Active Directory客户端通过LDAP协议向域控制器发送查询，为了定位域控制器，Active Directory客户端查询DNS，Active Directory需要DNS才能工作。域控制器就是一个Active Directory服务器，可由Windows 2000 Server和Windows Server 2003服务器充当，它存储目录数据并管理用户域的交互，其中包括用户登录过程、身份验证和目录搜索。Windows 2000/XP/2003计算机都可作为Active Directory客户端，Windows 2000以前版本的计算机，需要安装Active Directory客户端，才能部分支持Active Directory客户功能。运行Windows 95、Windows 98的计算机可连接到域，在安装附加的Active Directory客户端软件后，可以使用域功能，但是不能加入到域，不能作为计算机账户添加到Active Directory。运行Windows NT 4.0的计算机无需任何更改就可登录到域，只能使用NTLM认证方法。 Windows 2000/XP/2003计算机需要加入到域，才能享用Active Directory的好处。有两种情况，一种是将独立服务器加入到域，另一种是将工作站添加到域。加入到域的计算机可统称为域成员计算机。在安装Windows 2000/XP/2003操作系统时，可以选择加入到域中，或保留在工作组中。也可以将现有的Windows 2000/XP/2003计算机添加到AD域中。这里以Windows Server 2003服务器加入到域为例。 将服务器添加到域 ① 以本机系统管理员身份登录到服务器，确认能够连通Active Directory域控制器计算机。 ② 将DNS服务器设置为能够解析Active Directory域控制器域名的DNS服务器IP地址。在单域网络中，通常就是域控制器本身。具体的IP设置这里就不介绍了。 ③ 右键单击控制面板中的“系统”图标，或右键单击“我的电脑”图标，在快捷菜单中选择【属性】命令，打开【系统属性】对话框。 ④ 切换到【计算机名】选项卡，单击【更改】按钮。 ⑤ 打开如图7.2所示的对话框，在【隶属于】区域选中【域】选项，在下面的文本框中输入域名（可以是域的DNS域名，也可是域NetBIOS名称），单击【确定】按钮。 ⑥ 出现【计算机名更改】对话框，根据提示输入具有将计算机加入域权限的用户账户的名称和密码，单击【确定】按钮。 ⑦ 如无异常情况，将出现欢迎加入某域的提示，单击【确定】按钮。 ⑧ 将出现重新启动计算机的提示，单击【确定】按钮。 ⑨ 回到【计算机名】对话框，DNS后缀已加入完整的计算机名称。再单击【确定】按钮。 重新启动计算机，使上述更改生效。 此时在域控制器上打开“Active Directory用户和计算机”控制台，展开相应的域，单击【Computers】节点，如图7.3所示，将发现新加入域的计算机，说明已自动指派相应计算机账户。 图7.2  设置域名 图7.3  查看计算机账户 如果要退出Active Directory域，只需将域成员计算机重新加入工作组即可。 至于Windows 2000、Windows XP计算机作为工作站加入到域的操作步骤与独立服务器基本相同，只是操作界面有点差别。 4．域成员计算机登录到域 启动域成员计算机（服务器或工作站），按〖Ctrl〗+〖Alt〗+〖Delete〗组合键，以UPN用户名“用户名@域名”和密码登录到域，也可以SAM账户名称和密码登录到域。 注释：SAM是安全账户管理的意思，这种账户是为了与Windows NT域兼容，域内的每个用户都有一个惟一的SAM账户名称。以SAM账户登录时，可在登录界面中单击【选项】按钮展开，在【登录到】框中设置要登录的域名（域NetBIOS名称），在【用户名】框中输入用于Windows 2000以前版本的用户登录名。 登录到域后，可通过“网上邻居”窗口来查看网络中的域及其中的计算机。 管理和使用Active Directory对象 在Active Directory中应对各类Active Directory对象进行合理的组织和管理。 1．Active Directory对象类别 主要的Active Directory对象类别如下。 l     用户（User）：作为安全主体，被授予安全权限，可登录到域中。 l     计算机（Computer）：表示网络中的计算机实体，加入到域的Windows NT/2000/XP/2003计算机都可创建相应的计算机账户。 l     联系人（Contact）：一种个人信息记录。联系人没有任何安全权限，不能登录网络，主要用于通过电子邮件联系的外部用户。 l     组（Group）：某些用户、联系人、计算机的分组，用于简化大量对象的管理。 l     组织单位（Organization Unit）：将域细分的Active Directory容器。 l     打印机（Printer）：在Active Directory中发布的打印机。 l     共享文件夹（Shared Folder）：在Active Directory中发布的共享文件夹。 l     InterOrgPersion：标准的用户对象类，对于Windows Server 2003域功能级别来说，可以作为安全主体。 这些对象主要是通过“Active Directory用户和计算机”控制台来管理的。如图7.4所示，默认情况下，展开域节点时，控制台树中将显示以下容器。 l      Builtin：用来存放默认内置组（如Account Operators或Administrators）对象。 l     Computers：包含Windows 2000、Windows XP和Windows Server 2003计算机对象。 l     Domain Controllers：运行Windows 2000或Windows Server 2003的域控制器的计算机对象。 l     ForeignSecurityPrincipals：存储有信任关系的域的对象。 l     Users：包含域内用户账户和组。 选中【查看】菜单上的【高级功能】命令时，还将显示LostAndFound和System两个文件夹。LostAndFound包含在创建对象的同时，其容器被删除的对象。System包含各种系统服务容器和对象的内置系统设置。 2．管理Active Directory用户账户 Active Directory用户账户用于验证用户身份，指派用户的访问权限。用户必须使用用户账户登录到特定的计算机和域。登录到网络的每个用户应有自己的惟一账户和密码。用户账户也可用作某些应用程序的服务账户。 在域控制器上建立的是域用户账户，账户数据存储在AD中，用来登录域、访问域内的资源。非域控制器的计算机上还有本地账户。本地账户数据存储在本机中，不会发布到AD中，只能用来登录账户所在计算机，访问该计算机上的资源。本地账户主要用于工作组环境，对于加入域的计算机来说，一般不再建立和管理本地账户，除非要以本地账户登录。 Windows Server 2003提供了两个内置域用户账户：Administrator和Guest。Administrator是系统管理员账户，对域拥有最高权限，为安全起见，可将其重命名。Guest是来宾账户，主要供没有账户的用户使用，访问一些公开资源，为安全起见，系统默认禁用此账户。默认情况下，用户账户一般位于Users容器中，域控制器计算机上的原本地账户自动转入该容器。 为获得用户验证和授权的安全性，应为加入网络的每个用户创建单独的用户账户。每个用户账户又可添加到组以控制指派给账户的权限。 添加用户账户 ① 在“Active Directory用户和计算机”控制台树中，右键单击要添加用户的域、组织单位或其他容器（通常是Users），从快捷菜单中选择【新建】>【用户】命令。 ② 打开【新建对象―用户】对话框，如图7.5所示，设置账户基本信息。 ③ 输入用户的姓名信息。 ④ 在【用户登录名】框中输入用户用于登录域的名称，从下拉列表中选择要附加到用户登录名称的UPN后缀（后面跟@号，决定要登录的域）。 ⑤ 如果用户使用不同的名称从运行Windows NT、Windows 98、Windows 95的计算机登录，则把显示在“用户登录名（Windows 2000以前版本）”中的用户登录名称改为不同的名称。 在Active Directory中，每个用户账户都有一个用户登录名、一个Windows 2000以前版本的用户登录名（安全账户管理器的账户名）和一个用户主要名称后缀。在创建用户账户时，管理员输入其登录名并选择用户主要名称。微软建议Windows 2000以前版本的用户登录名使用此用户登录名的前20个字节。管理员可以随时更改Windows 2000以前版本的登录名。 ⑥ 单击【下一步】按钮，设置密码以及其他账户选项。注意密码必须符合用户账户命名策略，请参见后面关于组策略的内容。 ⑦ 单击【下一步】按钮，完成用户账户创建。 如果要进一步设置用户账户，应在控制台中双击相应的用户账户，打开如图7.6所示的对话框，进一步设置用户账户属性，这里提供很多选项卡，可根据需要设置。 可同时配置多个用户账户。同时选取多个账户，再打开属性对话框，可设置地址、账户、单位和配置文件等许多共同属性。 管理员还可执行用户账户管理，如删除、禁用、复制、重命名、重设密码、移动账户、发送邮件和打开主页等操作。右键单击账户，从弹出的快捷菜单中选择相应的命令即可。 3．管理Active Directory计算机账户 在Active Directory中，每个运行Windows NT、Windows 2000、Windows XP或Windows Server 2003的计算机都有一个计算机账户。与用户账户类似，计算机账户提供了一种验证和审核计算机访问网络以及域资源的方法。连接到网络上的每一台计算机都应有自己的惟一计算机账户。使用“Active Directory用户和计算机”控制台来创建和管理计算机账户。运行Windows 95和 Windows 98的计算机没有高级安全功能，不能被指派计算机账户。 图7.5  新建用户对象 图7.6  设置用户账户属性 当将计算机加入到域时，该计算机相应的计算机账户自动添加。也可在域控制器上创建计算机账户，然后再将计算机添加到现有账户。两种方法的差别在于：前者总是在Computers容器中创建计算机账户，后者可以在任何组织单位中创建计算机账户，新加入域的计算机自动查找并使用该账户（必须使用相同的NetBIOS名称）。 在“Active Directory用户和计算机”控制台树中，右键单击要添加计算机账户的容器（域或组织单位），从快捷菜单中选择【新建】>【计算机】命令，打开相应的对话框，如图7.7所示，根据提示设置即可。 除了添加计算机账户外，还可执行禁用、重设和删除计算机账户等操作，其快捷菜单如图7.8所示。 图7.7  新建计算机对象 图7.8  管理计算机账户的快捷菜单 4．管理Active Directory组 在Active Directory中，组可包含用户、联系人、计算机和其他组的Active Directory对象或本机对象。使用组可以简化Active Directory对象的管理。 组作为一种特殊的对象，具有以下特性。 l     组可跨越组织单位或域，将不同域、不同组织单位的对象归到一个组。 l     组可作为安全主体，与用户、计算机一样被授予权限。 l     组为非容器对象，组成员与组之间没有从属关系，而且一个对象可以属于多个不同的组。删除组不会删除组成员。 每个组均具有作用域，该作用域确定组在域树或树林中所应用的范围。有3类不同的作用域：通用、全局和本地域。 l     具有通用作用域的组可称为通用组，其成员可以是任何域的用户账户、全局组或通用组。其权限范围是整个林。 l     具有全局作用域的组可称为全局组，其成员可以是同域的用户账户或其他全局组。其权限范围是整个林。 l     具有本地域作用域的组可称为本地域组，它可以是任何域的用户账户、全局组，但是其权限范围仅限于同域（建立组的域）的资源，只能将同域的资源指派给本地域组。本地域组不能访问其他域的资源。 有两种类型的组：安全组（Security）和通讯组（Distribute）。安全组用于将用户、计算机和其他组收集到可管理的单位中。为资源（文件共享、打印机等）指派权限时，管理员应将那些权限指派给安全组而非个别用户。权限可一次分配给这个组，而不是多次分配给单独的用户。添加到组的每个账户接受为该组定义的权利和权限。使用组而不是单独的用户可简化网络的维护和管理。而通讯组只能用作电子邮件的通讯组，不能用于筛选组策略设置，不具备安全功能。 创建Active Directory域时自动创建的安全组称为默认组。许多默认组被自动指派一组用户权利，授权组中的成员执行域中的特定操作。默认组位于“Builtin”容器和“Users”容器中。“Builtin”容器包含用本地域作用域定义的组。“Users”容器包含通过全局作用域定义的组和通过本地域作用域定义的组。可将这些容器中的组移动到域中的其他组或组织单位，但不能将它们移动到其他域。 提示：在安装运行Windows Server 2003的独立服务器或成员服务器时，自动创建默认本地组。本地组不同于域本地组，必须在本机上独立管理，只能用于本机。可向本地组添加本地用户账户、域用户账户、计算机账户以及组账户；但不能向域组账户添加本地用户账户和本地组账户。 要创建新的组，在“Active Directory用户和计算机”控制台树中右键单击要添加组的容器（域或组织单位），从快捷菜单中选择【新建】>【组】命令，打开如图7.9所示的对话框，设置组的名称，选择组作用域和组类型。如果目前创建的组所属的域处于混合模式，则只能选择具有本地域或全局作用域的安全组。 要将成员添加到组中，有两种方法。一种是打开组的属性对话框，如图7.10所示，切换到【成员】选项卡，然后单击【添加】按钮，从【查找位置】下拉列表中选择对象所属的域，从列表中选择对象（如用户账户、联系人、其他组），单击【添加】按钮。 另一种方法是打开用户账户的属性对话框，切换到【隶属于】选项卡，然后单击【添加】按钮，打开【选择组】对话框，选择要添加到的组对象。或右键单击用户对象，在快捷菜单中选择【添加到组】命令。 也可将一个组添加到另一个组。 图7.9  新建组对象 图7.10  添加组成员 5．管理组织单位 与组不同，组织单位用于在单个域中创建对象集，但是不授予成员身份。组织单位及其所包含对象的管理可委派给单独的管理员或组。组织单位是可指派组策略设置或委派管理权限的最小作用域或单位。组织单位可包含用户、组、计算机、打印机、共享文件夹以及其他组织单位。组织单位是目录容器对象，在“Active Directory 用户和计算机”控制台中，以一种文件夹的形式出现。组织单位简化了域中目录对象的视图以及这些对象的管理。可将每个组织单位的管理控制权委派给特定的用户。 不要将组与组织单位混淆。一个用户可隶属于多个组，但只能隶属于一个组织单位；组织单位可包含组，但是组不能将组织单位作为成员；组可作为安全主体，被授予权限，而组织单位不行。 要创建新的组织单位，在“Active Directory用户和计算机”控制台树中，右键单击要添加组织单位的域（或组织单位），从快捷菜单中选择【新建】>【组织单位】命令，出现【新建对象-组织单位】对话框，输入组织单位的名称即可。 对现有组织单位可执行重命名、移动或删除操作。与组对象不同，一旦删除组织单位，其中的成员对象也将被删除。 组织单位的成员对象管理与域类似，可以像域一样管理用户、计算机等对象。